Constructor de Registro SPF

El SPF Record Builder genera registros DNS TXT de Sender Policy Framework (SPF) sintácticamente correctos que autorizan servidores de correo específicos para enviar email en nombre de tu dominio. Ingresa las IPs de tu servidor de correo, los includes de servicios de terceros y las preferencias de política para producir un registro listo para publicar como v=spf1 ip4:203.0.113.5 include:_spf.google.com -all.

Comprendiendo los registros SPF

Si administras un dominio que envía email, SPF es una de las primeras cosas que necesitas configurar correctamente. Sin un registro SPF, cualquier servidor en internet puede enviar mensajes que parecen provenir de tu dominio, y los servidores de correo receptores no tienen forma de distinguir tu correo legítimo de mensajes de phishing falsificados. SPF te da una forma de declarar qué direcciones IP y servicios están autorizados para enviar en tu nombre, y le da a los receptores una forma de verificar esa declaración antes de aceptar un mensaje.

Un registro SPF es un registro DNS TXT publicado en la raíz de tu dominio. Cuando un servidor de correo receptor recibe un mensaje que dice ser de tu dominio, busca tu registro SPF y verifica si la dirección IP del servidor emisor coincide con alguno de los mecanismos autorizados que listaste. Si coincide, el mensaje pasa SPF. Si no coincide, el servidor receptor aplica la política que especificaste en el mecanismo all al final del registro -- típicamente soft-fail o hard-fail del mensaje.

La parte complicada es hacer el registro correctamente. SPF tiene una sintaxis específica, límites estrictos en consultas DNS y reglas sobre cómo se evalúan los mecanismos. Un include faltante significa que un servicio legítimo será bloqueado. Un error tipográfico en un rango de IP significa que tu propio servidor de correo falla la autenticación. Este constructor te guía a través de cada mecanismo de forma interactiva, valida tus entradas y produce un registro que puedes copiar directamente en tu configuración DNS.

Cómo construir un registro SPF

1. Comienza con la etiqueta de versión requerida v=spf1
2. Agrega mecanismos ip4 o ip6 para las direcciones IP de tu servidor de correo
3. Agrega mecanismos include para servicios de email de terceros (Google Workspace, Microsoft 365, Mailchimp, etc.)
4. Agrega mecanismos a o mx si los registros A o MX de tu dominio apuntan a servidores de envío
5. Configura el mecanismo all al final para definir la política predeterminada para remitentes no autorizados
6. Revisa el registro generado en cuanto a longitud y límites de consultas
7. Copia el registro y publícalo como un registro DNS TXT en tu dominio

Ejemplos de registros SPF

Calificadores de mecanismos SPF

Cada mecanismo puede llevar un prefijo con un calificador que indica a los servidores receptores cómo interpretar una coincidencia:

El calificador -all proporciona la protección más estricta, instruyendo a los receptores a rechazar mensajes de servidores no listados. Usa ~all durante el despliegue inicial para monitorear sin bloquear correo legítimo.

Cuándo usar el SPF Record Builder

• Configurar autenticación de email para un dominio nuevo por primera vez
• Agregar un servicio de email de terceros como SendGrid, Amazon SES o Postmark que envía en tu nombre
• Consolidar múltiples mecanismos SPF de diferentes equipos o departamentos en un solo registro válido
• Solucionar problemas de entregabilidad de email cuando los mensajes caen en spam por fallas SPF
• Migrar infraestructura de email y actualizar listas de remitentes autorizados
• Fortalecer tu política DMARC asegurando que SPF esté correctamente configurado antes de cambiar a p=reject

Cómo funcionan los registros SPF

Los registros SPF se publican como registros DNS TXT en la raíz de tu dominio. Cuando un servidor de correo receptor recibe un email que dice ser de tu dominio, consulta DNS para tu registro SPF y verifica si la dirección IP del servidor emisor coincide con algún mecanismo autorizado.

Orden de evaluación SPF

El servidor receptor evalúa los mecanismos de izquierda a derecha. El primer mecanismo que coincida con la IP emisora determina el resultado. Si ningún mecanismo coincide, el calificador all al final proporciona la acción predeterminada.

Límites de consultas DNS

La evaluación SPF está limitada a 10 consultas DNS según RFC 7208. Estos mecanismos consumen una consulta cada uno: include, a, mx, ptr, exists y redirect. Los mecanismos de IP literales (ip4, ip6) no cuentan. Los includes anidados también cuentan contra este límite -- si el SPF de un dominio incluido tiene 3 includes más, esos agregan 4 consultas en total.

Valores comunes de include para terceros

Restricciones de longitud del registro

Una sola cadena DNS TXT no puede exceder 255 caracteres. Los registros más largos deben dividirse en múltiples cadenas entrecomilladas dentro de un solo registro TXT. El constructor rastrea el conteo de caracteres y advierte cuando se acerca a este límite.

Configuración SPF en la práctica

La decisión más importante en tu registro SPF es el mecanismo all al final. Muchos administradores lo dejan en ~all (softfail) indefinidamente porque les preocupa bloquear email legítimo. Aunque ~all es apropiado durante el período de despliegue inicial, deberías planificar cambiar a -all (hard fail) una vez que hayas confirmado que todos tus remitentes autorizados están listados. Un softfail le dice a los receptores que el mensaje es sospechoso pero no les instruye a rechazarlo, lo que da a los falsificadores una ventana para abusar de tu dominio. Un hard fail da a los receptores una señal clara para rechazar mensajes no autorizados, que es todo el propósito de desplegar SPF.

Lo segundo a vigilar es el conteo de consultas. Cada vez que agregas una nueva herramienta SaaS que envía email -- una plataforma de marketing, un helpdesk, un CRM, un servicio de email transaccional -- agregas al menos un mecanismo include, y cada include consume una o más consultas DNS. Es sorprendentemente fácil alcanzar el límite de 10 consultas, especialmente cuando el registro SPF de cada servicio contiene includes anidados. Solo Google Workspace consume 4 consultas (1 directa más 3 anidadas). Agrega Microsoft 365, SendGrid y Mailchimp, y podrías estar ya en 10. Cuando excedes el límite, SPF devuelve un error permanente y tu email legítimo comienza a fallar la autenticación.

Para mantenerte bajo el límite, considera aplanar los includes en mecanismos ip4 e ip6 donde sea posible. El aplanamiento reemplaza un include dinámico con las direcciones IP estáticas a las que actualmente resuelve, lo que elimina la consulta DNS. La desventaja es el mantenimiento: si el proveedor cambia sus rangos de IP, tu registro aplanado se vuelve obsoleto. Los servicios de aplanamiento SPF automatizan este proceso resolviendo periódicamente los includes y actualizando tu registro. Usa el SPF Record Length Checker para auditar tu conteo actual de consultas antes de hacer cambios.

Preguntas frecuentes

¿Puedo tener múltiples registros SPF en un dominio?

No. Un dominio debe tener exactamente un registro TXT SPF. Múltiples registros SPF causan un permerror durante la evaluación, lo que típicamente significa que SPF falla completamente. Si necesitas autorizar muchos servicios, combina todos los mecanismos en un solo registro. Si te estás quedando sin espacio o consultas, usa aplanamiento o el mecanismo redirect para apuntar a un dominio de política SPF dedicado.

¿Cuál es la diferencia entre -all y ~all?

El -all (hard fail) instruye a los receptores a rechazar emails de servidores no autorizados. El ~all (soft fail) le dice a los receptores que el mensaje es sospechoso pero debe ser aceptado, típicamente marcado para escrutinio adicional. Comienza con ~all mientras pruebas, luego cambia a -all una vez que hayas confirmado que todos los remitentes legítimos están incluidos.

¿Cómo agrego Google Workspace a mi registro SPF existente?

Agrega include:_spf.google.com antes del mecanismo all en tu registro existente. Por ejemplo, si tu registro actual es v=spf1 ip4:203.0.113.5 -all, cámbialo a v=spf1 ip4:203.0.113.5 include:_spf.google.com -all.

¿Qué pasa si excedo el límite de 10 consultas DNS?

La evaluación SPF devuelve un error permanente (permerror). La mayoría de los servidores receptores tratan esto como una falla SPF, lo que significa que tus emails pueden ser marcados como spam o rechazados directamente -- especialmente si también tienes una política DMARC estricta. Usa el SPF Record Length Checker para auditar tu conteo de consultas.

¿Debo usar el mecanismo a o mx?

El mecanismo a autoriza la dirección IP a la que apunta el registro A de tu dominio. El mecanismo mx autoriza las direcciones IP de tus registros MX. Ambos consumen una consulta DNS cada uno. Si las mismas IPs ya están cubiertas por mecanismos ip4, omite a y mx para ahorrar consultas. Son más útiles cuando la IP de tu servidor de envío cambia frecuentemente y siempre se refleja en tus registros A o MX.

¿Cómo se relaciona SPF con DKIM y DMARC?

SPF, DKIM y DMARC trabajan juntos como un sistema de autenticación de email por capas. SPF verifica si el servidor emisor está autorizado. DKIM verifica que el contenido del mensaje no ha sido alterado usando una firma criptográfica. DMARC los une definiendo una política para mensajes que fallan ambas verificaciones y requiriendo alineación de dominio. Necesitas los tres para una autenticación de email robusta.

Herramientas relacionadas

• SPF Record Length Checker - Verificar la longitud del registro SPF y límites de consultas
• DKIM TXT Record Formatter - Formatear registros DKIM con entrecomillado correcto
• DMARC Record Builder - Construir registros DMARC con todas las etiquetas de política
• DNS Record Set Deduper - Encontrar y eliminar registros DNS duplicados
• Zone File Linter - Verificar archivos de zona por errores de sintaxis y duplicados